Gestion de l’obsolescence

Audit et migration NTLM

En tant que cabinet de conseil et d’expertise cloud, nous accompagnons nos clients dans l’audit et la migration vers le protocole d’authentification NTLM afin d’anticiper sa disparition.

J’ai un projet

Audit de NTLM : comment faire ?

NTLM est un protocole d’authentification rendu obsolète par Microsoft en 2010 à cause de failles identifiées (NTLM Relay, Pass the Hass) et qui a été désactivé sur Windows 11 depuis le 9 juillet 2024.

Il existe plusieurs alternatives à NTLM, comme la méthode d’authentification Kerberos qui est un protocole robuste basé sur des plateformes de certificats. On retrouve d’autres outils d’authentification et d’autorisation, qui se rapprochent du Single Sign On, comme le SAML et l’OAuth.

Nous accompagnons les entreprises dans l’audit du protocole NTLM, l’aide au choix d’outil d’authentification ainsi que dans la mise en œuvre de la migration NTLM. L’objectif étant de mettre à jour les infrastructures avec un protocole robuste et performant.

synapsys-paris-lille-lyon-conseil-expertise-it

Comment nous réduisons avec succès votre dette technique ?

Nous nous appuyons sur l’expérience de nos architectes cloud et experts IAM pour vous guider dans l’audit NTLM, l’aide au choix d’outil d’authentification et l’implémentation de votre outil IAM.

Audit NTLM

Réaliser un inventaire complet des outils qui utilisent le protocole NTLM au sein de l’organisation, afin de mesurer la faisabilité des outils qui permettent de remplacer le protocole NTLM.

Aide au choix de protocole

Etude des différentes alternatives à NTLM (Kerberos) et tester l’application de l’usage des nouveaux protocoles pour remplacer NTLM. Réalisation de POC des nouvelles versions pour tester la faisabilité du projet de migration NTLM.

Migration du protocole

Réalisation du déploiement du nouveau protocole d’authentification (comme Kerberos) avec une équipe projet afin de réussir la migration des applications par périmètre.

Formation des équipes

Formation des équipes à l’usage des nouveaux protocoles d’authentification afin que l’usage du nouvel outil d’authentification soit maîtrisé. La prise en main des équipes permet également d’organiser le décommissionnement du protocole NTLM.

Vos besoins de prestation IT ont bien évolué, et nous le savons

Nous disposons d’un vivier de profils d’expert capables de répondre à vos besoins spécifiques sur vos projets : Architectes Cloud, Consultants IAM, DevOps, Consultant Cybersécurité, Architectes certifiés AWS, Azure…

Nous menons à bien des projets de migration vers le cloud de grande envergure, en collaborant étroitement avec des entreprises grands comptes pour transformer radicalement leurs infrastructures IT.

Nos consultants sont experts des plateformes cloud les plus influentes du marché (AWS, Azure, GCP), mais également dans les protocoles d’authentification : Kerberos, NTLM, SAML, OAuth…

Nous proposons un accompagnement personnalisé à chaque client, pour assurer une migration efficace vers le cloud, avec un support continu et une attention particulière aux détails de chaque projet.

Nous sommes à la pointe de la technologie et des tendances du marché pour fournir des solutions alternatives aux outils obsolètes comme NTLM.

Gérez l’obsolescence technique et modernisez votre legacy

Si vous souhaitez réduire la dette technique et réduire votre dette technique avec nos profils d’architectes cloud et DevOps, ou si vous avez des questions, n’hésitez pas à nous contacter. Nous sommes impatients de collaborer avec vous.

Parlez avec un expert

Questions fréquemment posées

Contactez-nous

Pourquoi le protocole NTLM représente-t-il un risque majeur pour la sécurité des infrastructures d’entreprise ?

Le protocole NTLM, bien que datant, reste largement utilisé dans les infrastructures Windows et est un vecteur d’attaque majeur en raison de plusieurs faiblesses : vulnérabilité aux attaques de relais (usurpation d’identité sans mot de passe), faiblesse cryptographique (hachage MD4 cassable), absence de protection contre les attaques par force brute, et stockage des hash NTLM récupérables via des techniques comme Pass-the-Hash. Dans les environnements hybrides modernes, NTLM est particulièrement risqué car il peut être un point d’entrée pour compromettre l’infrastructure cloud à partir du on-premise. Environ 70% des attaques contre les infrastructures Windows exploitent ces vulnérabilités, avec un temps moyen de compromission inférieur à 24 heures après l’exploitation de NTLM.

Comment un audit NTLM se déroule-t-il et quels éléments sont spécifiquement analysés ?

Un audit NTLM se déroule en trois phases : inventaire, où l’on cartographie les flux NTLM actifs via l’analyse des logs Windows 4624/4625 et des captures réseau ; analyse de configuration, pour évaluer les paramètres de Group Policy comme LmCompatibilityLevel et RestrictSendingNTLMTraffic ; et tests d’exploitation, simulant des attaques comme le NTLM Relay pour valider les vulnérabilités. L’audit se concentre sur les versions obsolètes (NTLMv1), l’implémentation de protections comme EPA, SMB Signing et Channel Binding. Les résultats sont pondérés via une matrice de risque, croisant probabilité d’exploitation et impact business, afin de prioriser les actions correctrices selon quatre niveaux de criticité.

Quelles alternatives sécurisées peut-on mettre en place pour remplacer NTLM dans une infrastructure d’entreprise ?

Les alternatives recommandées à NTLM incluent Kerberos (authentification mutuelle et chiffrement fort), l’authentification par certificat (compatible PKI), et les solutions modernes comme SAML et OAuth 2.0/OIDC pour les environnements hybrides. La transition doit se faire en quatre étapes : identification des dépendances NTLM, phase de coexistence avec renforcement des configurations NTLM, migration progressive des services vers les alternatives, et désactivation de NTLM. Microsoft recommande l’utilisation de LAPS pour gérer les comptes locaux et Active Directory Certificate Services pour déployer les authentifications par certificat.

Quels sont les indicateurs de compromission (IoC) liés aux attaques exploitant les faiblesses de NTLM ?

Les indicateurs de compromission spécifiques aux attaques NTLM incluent des échecs d’authentification multiples (EventID 4625) suivis de succès rapides, des connexions depuis des adresses IP inhabituelles, des tentatives d’accès à des partages SMB sensibles depuis des postes anormaux, et l’apparition de comptes machine dans des sessions interactives. Au niveau réseau, surveillez le trafic NTLM inattendu sur les ports 445 (SMB), 135 (RPC), et 139 (NetBIOS), surtout les tentatives sortantes vers Internet. Les outils de détection avancée doivent repérer les comportements anormaux comme les demandes NTLM sans négociation Kerberos ou des schémas temporels suspects (authentifications hors heures ouvrées ou à haute fréquence), qui peuvent indiquer des attaques Pass-the-Hash ou NTLM Relay.

Comment établir une feuille de route efficace pour la remédiation des vulnérabilités NTLM identifiées lors d’un audit ?

La feuille de route de remédiation NTLM se divise en quatre phases : mesures immédiates (0-30 jours) avec correctifs Microsoft et activation de SMB Signing, actions à court terme (1-3 mois) pour renforcer les GPO et surveiller NTLM, migration vers Kerberos (3-6 mois) et désactivation progressive de NTLM (6-12 mois). Priorisez selon l’impact business et l’effort technique. Mesurez les KPI comme la réduction du trafic NTLM (-80% en 6 mois), les services migrés et les incidents liés à NTLM. Testez en environnement isolé avant chaque déploiement pour minimiser les risques.